Ciberseguridad

No es fácil mantener en una organización al mismo tiempo la innovación y la seguridad de la experiencia digital. Sin embargo, un informe realizado por Akamai Technologies, pone de relieve que las empresas más consolidadas digitalmente, con los mejores ratios de equilibrio entre innovación y seguridad, crecen a un ritmo mayor que su competencia.

Dicho estudio incluyó la participación de más de 350 líderes empresariales a nivel mundial y fue realizado por Forrester Consulting en nombre de Akamai.

La innovación digital se encuentra a la vanguardia del complejo entorno empresarial actual. La entrega de experiencias digitales es fundamental para la competitividad, la satisfacción del cliente y, lo que es más importante, para alcanzar la confianza del cliente.

Para cualquier organización empresarial es un desafío satisfacer las necesidades de sus clientes, ahora también se deben abordar temas como la conectividad de red y el uso de dispositivos móviles, así como la capacidad de ofrecer experiencias digitales seguras y personalizadas.

El estudio también examina cómo las empresas digitales y diversas industrias en todo el mundo, alinean la experiencia  de usuario y la seguridad con sus prioridades estratégicas.

Otros hallazgos de la investigación:

• La llamada ‘lucha digital’ ya es una realidad, un elevado número de ejecutivos admite lo difícil que les ha sido lograr el equilibrio adecuado entre la innovación digital y garantizar experiencias digitales seguras, con las cuales se mantenga la confianza del usuario y además se mitiguen los riesgos.
• Los niveles de confianza se encuentran en mínimos históricos, más de un tercio de los ejecutivos encuestados sienten que sólo tienen un nivel moderado de confianza por parte de sus clientes, debido en gran parte a la sospecha sobre las prácticas de uso de datos en las empresas.
• La falta de confianza atribuida a la falta de seguridad puede generar la falta de ingresos: los clientes se sienten más cómodos compartiendo datos con compañías en las que realmente confían; cuando las empresas no cumplen con la seguridad, la reputación de su marca, la confianza del cliente e incluso los ingresos se ven afectados negativamente. Incluso la sospecha del mal uso de datos de una empresa puede conducir a una reducción del 25% en los ingresos.

Fuente https://www.akamai.com/us/en/about/news/press/2018-press/research-findings-show-industry-leaders-struggle-to-balance-digital-innovation-and-security.jsp

Después de las múltiples filtraciones de datos en algunas de las grandes organizaciones a nivel global (Facebook con Cambridge Analytica, Equifax, Deloitte, Yahoo), los usuarios debemos ser cautelosos con la información que compartimos en línea, incluyendo las aplicaciones y los servicios gratuitos.

Es tiempo de dejar de usar la tecnología como si se estuviera de compras en el supermercado, en una tienda de este tipo podemos suponer las etiquetas en los alimentos son precisas y los productos son seguros para ingerir, porque la industria alimentaria tiene muchas regulaciones. En el caso del manejo de la información digital, no necesariamente.

A continuación, algunos ejemplos de ello, incluidos en una publicación reciente en The New York Times:

Correo electrónico ‘gratuito’

El año pasado se revleó que Uber compró información sobre su principal competidor en el sector del transporte privado, Lyft, a través de Unroll.me, un servicio de correo gratuito que ofrecía a las personas cancelar sus suscripciones a correos publicictarios.

El servicio de correo ‘gratuito’ escaneó los buzones de entrada de los usuarios para buscar la información de los recibos de Lyft y venderla a Uber. A muchos clientes les pareció engañoso que una empresa que prometía  eliminar el correo no deseado de los anunciantes hiciera dinero vendiéndoles información de sus usuarios.

En este caso, su política de privacidada indicaba lo siguiente:  “Podríamos recolectar, utilizar, transferir, vender y revelar información no personal para cualquier propósito” y que los datos podían usarse “para construir productos y servicios anónimos de investigación de mercado”. Sin embargo, en respuesta a las críticas, Unroll.me prometió ser más transparente con respecto al su uso de datos. La aplicación sigue operando.

La recomendación es hacer el mejor esfuerzo por investigar el modelo de negocio de la empresa en cuestión. Cuando un producto o servicio es gratuito, siempre debe suponer que la información se usa para obtener ganancias.

Mensajería y espionaje

El año pasado, una aplicación llamada Soniac estaba disponible para los celulares Android en la tienda de aplicaciones Google Play. Soniac se anunció como una aplicación de mensajería y, en efecto, incluía funciones para enviar mensajes de texto. Las características menos evidentes: la aplicación también podía grabar audio sin revelarlo, tomar fotos con la cámara, hacer llamadas y descargar registros de llamadas, entre otras funciones.

Una firma de seguridad que da seguimiento al software nocivo en los dispositivos Android, alertó a Google acerca de las habilidades ocultas de Soniac y rápidamente eliminaron la aplicación de la tienda de aplicaciones. Sin embargo, los investigadores identificaron  más de mil aplicaciones de programas informáticos espías con muchas de las mismas características que tenía Soniac.

La recomendación, al instalar una aplicación, se deben revisar los datos a los que ésta tendrá acceso. Las aplicaciones de los smartphones solicitan permiso para tener acceso a ciertos datos y sensores. Si una aplicación solicita acceso a datos que no están relacionados con el producto, no debería instalarse. Se puede esperar que una aplicación de mapas pida datos de ubicación, por ejemplo, pero no debería tener acceso a la cámara o fotos.

Datos sobre menores de edad

Algunos productos de Internet han recolectado datos específicamente de niños. EchoMetrix fue un ejemplo tristemente célebre en 2009, la empresa emitió un comunicado de prensa en el que presumia haber predicho el ganador de la competición American Idol de ese año. La empresa había ofrecido en 2004 una aplicación de control parental llamada FamilySafe para que los padres monitorearan las actividades en línea de sus hijos. Cinco años después, se convirtió en EchoMetrix y lanzó Pulse, una herramienta para proporcionar a los anunciantes infromación acerca de los menores, la cual se obtenía a partir de millones de transcripciones de las conversaciones y publicaciones de blog de los adolescentes, entre otras fuentes.

 La recomendación es ser prudente al elegir productos de tecnología, especialmente aquellos orientados a los niños. Common Sense Media, una organización sin fines de lucro que evalúa contenido y productos aptos para toda la familia, es un buen lugar para comenzar una investigación.

Es importante destacar que estos riesgos continuarán creciendo con la expansión de la recolección de datos, por lo que es indispensable ser cautelosos ante el uso de aplicaciones y servicios en línea, principalmente los ‘gratuitos’.

Fuente https://www.nytimes.com/es/2018/04/09/tecnologia-informacion-datos/

La ciberseguridad como uno de los desafíos más importantes de la era digital.

El crecimiento global de las redes y la información, impulsado por la innovación tecnológica, ha permitido a la sociedad crear prosperidad y mejorar la calidad de vida. Sin embargo, este rápido cambio ha generado también un desafío de largo plazo: gestionar los riesgos de seguridad a medida que el mundo depende cada vez más de la cibernética y las amenazas aumentan.

Los líderes empresariales internacionales calificaron las amenazas cibernéticas como uno de los principales riesgos de negocios de acuerdo con los resultados obtenidos en la 21a Encuesta Global de CEO de PwC.

También reconocieron que las principales repercusiones de los ciberataques son la pérdida o compromiso de datos confidenciales y la interrupción de actividades, como se muestra en la siguiente gráfica:

En México, mientras que las grandes y medianas empresas comenzaron hace tiempo a considerar la seguridad de la información un activo estratégico y una oportunidad para proteger su negocio, las autoridades y la población en general desconocen o desatienden los riesgos a los que está expuesto todo aquel que esté conectado a una red, ya sea a través de un smartphone, una computadora personal o una fábrica digital.

Las organizaciones mexicanas deberían tener siempre las respuestas a las siguientes preguntas: ¿qué información tengo?, ¿dónde la tengo? y ¿quién tiene acceso a ella? Otro aspecto a considerar son las amenazas internas, para las cuales, las empresas generalmente no están preparadas.

Si se tienen las bases adecuadas para gestionar los riesgos, es posible aprovechar la conectividad sin perder la confianza de los consumidores y monetizar la información al tiempo que se respeta la privacidad.

Con la inteligencia para evitar amenazas y las capacidades para compartir información se puede ayudar a los grupos de interés a identificar y prevenir los riesgos emergentes más rápida y eficazmente. Las tecnologías innovadoras de seguridad en la Nube, el análisis de datos, el monitoreo, la autentificación y el software de código abierto pueden ser herramientas poderosas para quienes gestionan los riesgos en el ciberespacio.

Fuente http://blog.pwc.mx/la-importancia-de-la-ciberseguridad/

De acuerdo con información publicada por el sitio web The Register, una vulnerabilidad de los procesadores Intel (error de diseño) está forzando a los desarrolladores de Sistemas Operativos a eliminarla mediante el parcheado al kernel. Esto se debe a que aparentemente, no es posible corregir el fallo con una actualización del microcódigo del procesador.

En la publicación acerca del tema en el sitio Xataka, se indica que el problema permitiría que cualquier aplicación accediera a espacios reservados de memoria a los que no deberían, ya que a su vez daría acceso al resto de recursos de la máquina. El riesgo en ello sería que un ciberatacante al explotar la vulnerabilidad ganaría permisos de superusuario en estos sistemas para control remoto o introducir malware.

La información hasta el momento indica que se trata de un problema masivo y que afecta a los microprocesadores Intel de la última década. Cabe destacar que por el momento Intel no ha confirmado las familias de procesadores afectadas. Sin embargo, se presume que solo los procesadores de 64 bits serían los afectados.

Esto implica que millones de máquinas en todo el mundo estarían afectadas por esta vulnerabilidad; no solo en el ámbito doméstico, en el que todo PC, portátil o tableta basada en estos microprocesadores estará afectado, sino también en el ámbito empresarial.

Para solucionar elproblema la única alternativa parece ser la actualización de los sistemas operativos. Hasta donde se sabe, todos los sistemas estarían afectados, así que tanto los usuarios de Windows como los de macOS y Linux, dependerán de sus actualizaciones del sistema. En el caso de Linux, ya existe una actualización para el kernel, se espera que tanto Microsoft como Apple publiquen cuanto antes los parches para corregir el problema.

Las actualizaciones también afectarán a grandes plataformas Cloud Computing; Microsoft ha emitido un comunicado indicando que el próximo 10 de enero habrá cortes del servicio para operaciones de “mantenimiento”, lo mismo ha hecho Amazon que tiene previsto el mismo proceso para el próximo 5 de enero.

Computerworld indica que el crecimiento en el número de ciberataques tendrá un efecto directo en el presupuesto asignado para la ciberseguridad de las empresas.

De acuerdo con la publicación, se estima que en 2018 el gasto de las compañías en ciberseguridad aumentará un 8% hasta los 96,300 millones de dólares.

Hay varias razones que explican este aumento, las regulaciones, las amenazas crecientes y la transformación digital interna de las compañías serán los factores impulsores.

Muchas veces las empresas aumentan sus partidas presupuestarias dedicadas a la seguridad como reacción a las noticias sobre grandes ciberataques, como puede ser el caso de Wannacry o el más reciente, que afectó a Equifax.

“Los ciberataques tienen un efecto directo en el gasto de seguridad, porque este tipo de ataques pueden durar hasta tres años”, declara Ruggero Contu, director de investigación en Gartner.

La mayoría del gasto se destinará a servicios de seguridad (57,719 millones de dólares), seguido por las soluciones de protección a la infraestructura (17,467 millones de dólares) y de equipamiento de red (11,669 millones de dólares). En menor grado, las compañías invertirán en software de seguridad de consumo y en soluciones de gestión de identidad (con un gasto estimado en 4,746 millones de dólares y 4,695 millones de dólares, respectivamente).

En los próximos años cada vez más corporaciones invertirán en herramientas de seguridad de protección de datos. En concreto, se prevé que en los próximos tres años el 60% de las empresas apuesten por este tipo de soluciones frente al 35% de las empresas que lo hacen en la actualidad.

Otra de las grandes áreas de inversión será el del outsourcing. Se estima que en 2019 el gasto en externalización de servicios de seguridad acapare el 75% del total del gasto, por encima del 63% en 2016. “El segmento de externalización de TI es el segundo mayor después del segmento de consultoría”, declara Contu.

Fuente http://cso.computerworld.es/alertas/el-gasto-global-de-las-empresas-en-seguridad-crecera-un-8

El Foro Económico Mundial mediante una publicación en su sitio web, destaca la importancia de que las organizaciones estén preparadas ante la gran amenaza de los ciberataques.

A continuación, parte de la información publicada:

Desafortunadamente, la ciberseguridad solo cobra importancia cuando ha fallado, como en el caso del robo de datos de alto perfil.

Los directivos suelen relegar la ciberseguridad únicamente al departamento de TI, lo cual es un error, porque los incidentes cibernéticos afectan a toda la organización, no solo a TI.

En la Conferencia Cyber3 de Tokio 2017, participantes internacionales de la academia, la industria, gobierno y sociedad civil se reunieron en la Universidad Keio para la tercera conferencia anual sobre ciberseguridad.

Durante la conferencia de dos días, se simularon ciberataques a la próxima Copa Mundial de Rugby 2019 de Japón. La simulación (TTX) generó ideas aplicables no solo a eventos deportivos a gran escala, como los Juegos Olímpicos y Paralímpicos de Tokio 2020, sino también a la infraestructura nacional de ciberseguridad de Japón y otros países.

Hackear la Copa del Mundo de Rugby

La simulación, denominada Operación Rugby Daemon, tenía como objetivo ayudar a las agencias gubernamentales japonesas, empresas y otras partes interesadas a comprender, coordinar y responder lo mejor posible ante amenazas cibernéticas  dirigidas hacia los flujos de información e infraestructura crítica.

Se simularon tres tipos de ataques cibernéticos:

1. Correos electrónicos de phishing para acceder a sistemas críticos de control industrial.
2. Interrupción de la red eléctrica mediante el acceso a la red de datos, el cual se habría obtenido por medio de los correos electrónicos antes mencionados.
3. Ataques distribuidos de denegación de servicio (DDoS) contra el sitio web de la Copa del Mundo de Rugby y direcciones de Internet relacionadas.

En el simulacro del ataque de phishing, los adversarios enviaron correos electrónicos al personal de una gran empresa de servicios públicos, conglomerados industriales y del Ministerio de Economía, Comercio e Industria de Japón (METI). Dichos correos de phishing incluían  código malicioso mediante un archivo adjunto. En el ejercicio, un trabajador del servicio público dio clic en el archivo adjunto, dando a los atacantes acceso a la red de área local (LAN).

En los ataques DDoS, los sitios web asociados con el primer ministro japonés, la Copa Mundial de Rugby y otras entidades tanto públicas como privadas, fueron golpeados con más de 700 Gbps de tráfico entrante, lo que provocó su caída.

Lecciones aprendidas

Los equipos fueron animados a coordinarse y actuar rápidamente para poner a prueba su capacidad de respuesta ante situaciones de crisis.

Además de la necesidad de coordinarse, es necesario saber qué pueden y qué no pueden hacer. De lo contrario, perderán tiempo valioso en el envío de solicitudes a sus superiores, y estos a su vez enviarlos a alguien más arriba en la cadena de mando, ralentizando la respuesta y perdiendo tiempo crucial.

Los participantes más efectivos se comunicaron rápidamente con socios nacionales e internacionales, compartiendo información y conclusiones que ayudaron a mitigar los ataques.

Otra de las lecciones obtenidas del TTX es que los participantes necesitan desarrollar una conciencia situacional a medida que se desarrollan los eventos. Lo cual implica comprender cómo encajan las piezas individuales en el panorama y conocer la línea de tiempo de los ataques.

“El hecho de que almacenemos nuestra riqueza en bases de datos nos hace vulnerables”, dijo Richard Ledgett, ex subdirector de la Agencia de Seguridad Nacional de Estados Unidos, a los asistentes a la conferencia después de participar en el TTX. “La ciberseguridad es la base de nuestra existencia, estas amenazas son serias y reales. Con los ejercicios de mesa, resaltamos lo difícil que es responder ante ello, necesitamos practicar, practicar”.

Varios de los principales proveedores e instituciones académicas de la industria de seguridad, ahora ofrecen capacitación para simular la respuesta a ciberataques de la misma manera que se realizó en el TTX. Mantener las habilidades cibernéticas en forma puede hacer tanta diferencia durante una crisis como cualquier la inversión en procesos, tecnología o personal.

Fuente https://www.weforum.org/agenda/2017/11/tabletop-cyber-cybersecurity-hack-data-breach-japan-world-cup

En una publicación del sitio ComputerWorld México se informa que de acuerdo con algunas estimaciones, en 2018 habrá más de 22 mil millones de equipos conectados a Internet en el mundo y el 75% de las cadenas de valor de fabricación utilizarán procesos, recursos, productos y servicios conectados digitalmente para mejorar su capacidad de respuesta y productividad. Con esta creciente conectividad de las cosas, el incremento de amenazas y los ataques a la información crítica de las organizaciones, las empresas han empezado a poner más atención en sus estrategias de seguridad cibernética.

Según Symantec, en 2016 México fue el segundo país de Latinoamérica con más amenazas cibernéticas detectadas, teniendo un impacto de 5,500 millones de de dólares de los 125,900 millones de dólares que conforman el impacto global.

En la actualidad, las organizaciones son principalmente vulnerables de ser víctimas de phishing, uno de los métodos más utilizados para estafar y obtener información confidencial de manera fraudulenta, suplantando la identidad de alguna persona o empresa de confianza, generalmente mediante correo electrónico, mensajería instantánea, redes sociales, SMS/MMS o incluso llamadas telefónicas. Después de obtener la información, y mediante un ataque de ransomware, los delicuentes pedirán a las organizaciones el rescate para tener acceso a su información nuevamente.

Ahora no solo las empresas, también las personas son vulnerables. Por ello, las organizaciones de cualquier tamaño o sector, deben considerar como factor clave a su talento en los procesos de seguridad. Principalmente, instruir al personal sobre el uso de equipos y dispositivos, y establecer políticas de TI de forma clara con base en los niveles de acceso a los recursos corporativos.

Para lograrlo, los expertos en temas de seguridad cibernética deben brindar el soporte adecuado en sus organizaciones, tanto para las necesidades de seguridad actuales como las futuras, de forma escalable, preventiva y no reactiva, ya que los costos por la pérdida de información son altos.

Fuente http://computerworldmexico.com.mx/talento-especializado-pieza-clave-la-industria-la-ciberseguridad/